🇰🇷 한글 설명
Axios 라이브러리의 프로토타입 오염 취약점을 통해 제3자 의존성이 아웃바운드 요청의 헤더에 비검증 값을 주입할 수 있습니다. 공격자는 이 gadget chain을 이용해 HTTP 요청을 조작할 수 있으며, 버전 1.15.0 및 0.3.1 이상으로 업그레이드하여 해결됩니다.
💡 쉬운 설명
Axios 라이브러리에서 나쁜 사람들이 인터넷 요청 헤더를 조작할 수 있는 문제가 있습니다. 최신 버전으로 업데이트하면 이 문제를 막을 수 있습니다.
🇺🇸 원문 (English)
Axios is a promise based HTTP client for the browser and Node.js. Versions prior to 1.15.0 and 0.3.1 are vulnerable to a specific gadget-style attack chain in which prototype pollution in a third-party dependency may be leveraged to inject unsanitized header values into outbound requests. This vulnerability is fixed in 1.15.0 and 0.3.1.
📍 영향받는 시스템
Axios < 1.15.0 및 < 0.3.1 (Node.js/브라우저 기반 HTTP 클라이언트)
⚔️ 공격 벡터
제3자 의존성의 프로토타입 오염을 통한 헤더 값 주입
🛡️ 대응 방법
Axios를 1.15.0 또는 0.3.1 이상으로 업그레이드 (npm update axios)
🔧 검증 코드
출력된 버전 번호가 1.15.0 이상이거나 0.3.1 이상이면 안전하며, 더 낮으면 즉시 업그레이드 필요합니다.
npm list axios 2>/dev/null | grep -oE 'axios@[0-9.]+' | head -1